eingeschränktes Konto, hilfreich, egal, sinnfrei? Einstellungen

[Heike]

also, ich nutze immer den Admin-Account.

Irgendwann hatte ich mal getestet wie sich Server verhalten, die auf einem "eingeschränkten Konto" gestartet werden, einen wirklichen Sicherheitsgewinn habe ich bei XP Pro mit FAT32 File-System nicht entdecken können. Ich habe es auf FAT32 geschoben und gedacht: bei NTFS wird wohl alles anders sein, da wäre man sicher.

Heute mal das ganze unter NTFS getestet, alles mit den default-Einstellungen für ein "eingeschränktes Konto". Das ist ja wohl ne Lachnummer, oder? NTFS ist wie FAT32, keine Änderung, beides gleich sinnfrei, seht selbst:



das Bild zeigt den remoten Zugriff mit Bifrost, und zwar von der public Version 1.2.1.

Wo bitte ist der Sicherheitsgewinn eines "eingeschränkten Kontos"? wenn es allgemein so empfohlen wird, kann es ja nur sein, das ich einen Fehler mache, irgendwo. Nur wo? Ist mir nicht klar. Vielleicht kann mir mal jemand "auf die Sprünge" helfen?

Wenn nicht, ist es auch egal, aber einen Sicherheitsgewinn duch ein "eingeschränktes Konto" sollte man dann nicht mehr als gegeben darstellen, es ist dann offensichtlich nur noch unter "Scheinsicherheit" abzulegen.

[Rouven]

FAT32 bzw. NTFS hat mich Sicherheit im Zusammenhang mit Viren oder Remoteeinbrüchen soviel zu tun wie ne Wurst mit nem Porsche.

Korrektur: Auf NTFS Laufwerken können Benutzerrechte auf Dateien bzw. Daten eingerichtet werden. Ein Zugriff ist in der Regel von aussen Möglich bzw. mit ner BootCD Like Barts PE Builder.

Nur ne Verschlüsselung kann da Abhilfe schaffen.

Es wird empfohlen unter XP mit einem eingeschränkten Konto zu arbeiten.
1. Muss dann in der Computerverwaltung (Als Admin) dem eingeschränkten Konto noch der "Hauptbenutzer" hinzugefügt werden. Ansonsten hat mann/sie zu wenig Rechte.

2. Diese Empfehlung gilt nur für Leute ohne Erfahrung und Ahnung. Ein Profi weis sein System zu sichern.
In der Regel verwendet ein Profi ein Haufen an Software, die eben oft nur mit allen Rechten anständig laufen...
MachMichAdmin lässt Grüßen...

3. Das eingeschränkte Konto soll keinen Einbruch verhindern, sondern vielmehr einen Ausbruch.
Ein Virus der Heruntergeladen wurde, hat somit auch nur "eingeschränkte" Rechte und kann keine Systemdateien manipulieren.


Gruß Rouven

[Krond]

Wie hast du NTFS eingerichtet? Hast du neu installiert, oder einfach einen "convert" durchgeführt. Weil....wenn du nämlich den convert machst, werden die Standard-Rechte (so wie sie nach einer Installation sind) nicht gesetzt. Somit hast du recht, in dem Fall ist NTFS wie FAT32 - nämlich jedes Verzeichnis für jeden erlaubt. Falls ich mich da jetzt irren sollte, so bitte ich, mich zu korrigieren. Ich mache nämlich normalerweise keinen convert.....

[Heike]

Krond, ich habe neu installiert, gleich mit NTFS und ein "eingeschränktes Konto" eingerichtet.

Mit "Rechten" habe ich nicht rumgespielt, will ich auch nicht, es macht ja von denen, die sich infizieren lassen, auch keiner, davon gehe ich mal aus. Es ist alles so, wie es nach einer Installation default ist.

Es wird empfohlen unter XP mit einem eingeschränkten Konto zu arbeiten.

Rouven, ja, das weiß ich. Nur ist mir eben der Sinn nicht klar und ich kann ihn auch noch nicht erkennen. Es muß ja auch nicht alles, was empfohlen wird, zwangsläufig sinnreich sein.

Diese Empfehlung gilt nur für Leute ohne Erfahrung und Ahnung. Ein Profi weis sein System zu sichern.

ja, deshalb ist das "eingeschränkte Konto" nach meinem jetzigen Wissensstand einfach sinnfrei. Beispielsweise wären alle verwendeten Zugangs-PW (Mail, FTP) des "eingeschränkten Kontos" auch remote zu erhalten.

was wäre denn bitte an zusätzlich geänderten Systemdateien so schlimm? geowned ist geowned, darauf käme es dann auch nicht mehr richtig wirklich an.

[Rene-gad]

Nur ist mir eben der Sinn nicht klar und ich kann ihn auch noch nicht erkennen.

Man empfiehlt dies aus dem Grund, dass ein einfacher Benutzer keine Software installieren kann/darf, d.h. - auch keine Schad-Software. Weiterhin sollte dabei auch eine sowohl unbewusste als auch entfernte Installation der (Schad-) Software nicht möglich sein.

[Heike]

Weiterhin sollte dabei auch eine sowohl unbewusste als auch entfernte Installation der (Schad-) Software nicht möglich sein.

ja, sollte, aber das stimmt offensichtlich ja nicht.

ich habe den Bifrost-Server "angeklickt" als ich mit dem "eingeschränkten Konto" eingelogt war. Er läuft ohne Probleme, auch nach einem reboot.

[Rene-gad]

ja, sollte, aber das stimmt offensichtlich ja nicht.

Da kannst du das getrost vergessen . Übrigens: Ich surfe auch immer als Admin und sieh mal - Brain.exe hat noch nie versagt.
Wobei in den letzten Zeiten surfe ich immer mehr unter Linux

Der Beitrag wurde von Rene-gad bearbeitet: 26.11.2007, 18:45

[Heike]

ich habe immer als Admin gesurft und wollte es auch nicht ändern. Mich hat es halt nur mal interessiert.

ein "eingeschränktes Konto" ist offensichtlich nicht in der Lage das zu leisten, was immer vermutet/versprochen wird. Es macht also alles nur unbequemer ohne einen erkennbaren Nutzen zu haben.

ich hatte nur die Möglichkeit nicht ausgeschlossen, dass ich grundsätzlich etwas verkehrt mache, hätte ja auch sein können.

[citro]

Ich hatte mal im eingeschr. Konto ausversehen einen DNSChanger ausgeführt, die IP war von der Ukraine.

In diesem Fall half das eingeschr. Konto nichts, auch nach dem Löschen des Kontos war meine Verbindung über diese Adresse aktiv.
Es half nur noch ein Back-up - meines Wissens.

citro

[Andreas Haak]

Hmmm ... keine Lust alles einzeln zu Quoten, aber mal grob zusammengefaßt:

Ein eingeschränktes Konto verhindert, daß bei einem Zwischenfall das System als Ganzes kompromitiert werden kann. Eine Infektion kann sich schlicht und ergreifend nur innerhalb der Bereiche ausbreiten, auf die der User letztlich Zugriff hat, was im Idealfall sein Userprofil und sonst nichts ist. Auf die System Bereiche kann er ausschließlich lesend zugreifen, Daten anderer Nutzer bekommt er gar nicht zu sehen.

Der offensichtlichste Vorteil ist folgender:
Wenn eine Infektion ausschließlich das Userprofil des Benutzers betreffen kann und eine Modifikation des Systems ausgeschlossen ist, dann genügt es schlicht und ergreifend bei einer Infektion das Profil zu resetten. Die Infektion ist damit vollständig beseitigt. Dauert 1 - 2 Minuten. Großartig für das soziale Umfeld, bei dem man sonst alle 2 - 3 Wochen den versifften PC neu aufsetzen durfte.

Ein anderer Vorteil ergibt sich, wenn man für verschiedene Aufgaben verschiedene Benutzer verwendet:
Dadurch das die Benutzer von einander getrennt sind und Benutzer A noch nicht einmal Leserechte für die Dateien von Benutzer B hat, kann man sensible Aufgaben wie z.B. Online Banking auslagern. Du hast also einen Surf- bzw. Mailaccount und einen Online Banking Account. Selbst wenn Du Dir auf deinen Webstreifzügen nun einen Keylogger einfängst, bleibt dein Onlinebanking gänzlich unberührt davon. Wenn Du jetzt noch Mail und Web trennst, könnte ein Backdoor auch nicht so einfach die Passwörter deiner Mail Accounts ausspionieren. Ich denke mal, Du verstehst worauf es hinausläuft .

Letztlich ist den Meisten dafür der Aufwand aber zu hoch. Im Endeffekt bleibt als echter Vorteil also nur die Option eine Infektion schnell und sicher beseitigen zu können. Ein Allheilmittel gegen Malware ist es aber definitiv nicht, zumal Du eine Infektion durch ACLs nicht verhindern, sondern nur eindämmen kannst.

[Heike]

Andreas, Dein Posting erklärt einige Aspekte gut, danke.

für alle "Gelegenheiten" einen Account, das wäre mir allerdings auch zu umständlich. Wenn man bevorzugt, C: möglichst klein zu halten muß man sich richtig tief in das Regelwerk einarbeiten, weil die Daten auf unterschiedlichen Partitionen gespeichert sind. Da wird man dann wahrscheinlich etwas vergessen und es ginge immer zuviel oder zuwenig.

Im Endeffekt bleibt als echter Vorteil also nur die Option eine Infektion schnell und sicher beseitigen zu können.

ob man damit auch alle Folgen beseitigt hat, ist ja nicht sicher. Ich denke jetzt an ausgetauschte ausführbare Dateien, die irgendwo gespeichert sind.

Ich würde in jedem Fall alle Passwörter ändern, auch wenn nur ein "eingeschränktes Konto" geowned worden wäre, besser ist besser. Aber ich habe ja keins, nur auf dem Test-PC, und da wäre es eh egal, wenn da mal was passiert.

[Gast_J4U_*]

ein "eingeschränktes Konto" ist offensichtlich nicht in der Lage das zu leisten, was immer vermutet/versprochen wird.

Du weisst es doch selbst besser, die angepriesene Sicherheit von Windows gleicht einem großen Luftballon. Schön, groß, bunt, lustig - bis zu dem Zeitpunkt, an dem der böse Bube mit einer Stecknadel oder Zigarette die Bühne betritt.
Meine Konten laufen permanent mit Admin-Rechten, da der Verlust an Komfort deutlich höher ist als der (angebliche) Sicherheitsgewinn. Auf Mehrbenutzerrechnern bekommen die User je nach Alter bzw. Kenntnisstand ein entsprechendes Konto eingerichtet, der administrative Aufwand reduziert sich dadurch teils erheblich, siehe den Beitrag von Andreas Haak.

Servus
J4U

[Voyager]

Abgesehen von persönlichen Ansichten und Geschmäckern ist für die meisten User ein eingeschränktes Benutzerkonto einfach sinnvoller , wie gesagt das Programm im eingeschränkten Konto bekommt nur die Rechte des Benutzers und der hat in der Regel kein Zugriff auf Windows und System. Wie ich das dem Bild von Heike entnehmen kann ist der Autostart des Programmes auch innerhalb des Benutzerkontos und das Programm funktioniert offensichtlich auch ohne administrative Rechte. Heike denkt an der Stelle einfach zu kurz wenn Sie meint das Konto wäre jetzt voll unsicher ?! Das Schadprogramm muss erstmal auf den PC drauf kommen und im eingeschränkten Konto sind ja einige Hürden vorhanden weswegen auch soviel Geschrei und Gejammer gemacht wird wenn man administrative Rechte extra bestätigen muss. Wenn das Konto so unsicher wäre würde sich keine Sau über Vista aufregen

[Heike]

Heike denkt an der Stelle einfach zu kurz wenn Sie meint das Konto wäre jetzt voll unsicher ?! Das Schadprogramm muss erstmal auf den PC drauf kommen und im eingeschränkten Konto sind ja einige Hürden vorhanden weswegen auch soviel Geschrei und Gejammer gemacht wird wenn man administrative Rechte extra bestätigen muss.

bond, vielleicht klärst Du mich noch mal über die Hürden auf, die Bifrost, hier fälschlicherweise von Dir als "Schadprogramm" bezeichnet, nehmen muß?
also einfaches "klicken" der *.exe reicht vollkommen aus, da ist nichts mit Nachfragen nach irgendwelchen administrativen Rechten.

Abgesehen von persönlichen Ansichten und Geschmäckern ist für die meisten User ein eingeschränktes Benutzerkonto einfach sinnvoller ,.....

ob es sinnvoller ist oder doch nicht, darüber reden wir ja gerade, bisher sachlich und ich hoffe, das bleibt auch so.

[Andreas Haak]

Du weisst es doch selbst besser, die angepriesene Sicherheit von Windows gleicht einem großen Luftballon. Schön, groß, bunt, lustig - bis zu dem Zeitpunkt, an dem der böse Bube mit einer Stecknadel oder Zigarette die Bühne betritt.

Die Aussage ist relativ dumm und eigentlich ziemlich plakativ. Backdoors ließen sich genauso für Linux oder MacOS Standard User implementieren - und das ist weder schwerer noch komplizierter als unter Windows. Auch dort könnte, exakt wie bei Windows, das Schadprogramm alles tun, was der User tun könnte mit dessen Rechten er rennt. Als Admin halt eigentlich alles und als Eingeschränkter User halt nicht alles.

Das Schadprogramm muss erstmal auf den PC drauf kommen und im eingeschränkten Konto sind ja einige Hürden vorhanden weswegen auch soviel Geschrei und Gejammer gemacht wird wenn man administrative Rechte extra bestätigen muss. Wenn das Konto so unsicher wäre würde sich keine Sau über Vista aufregen

Social Engineering und Browser Exploits funktionieren völlig unabhängig von Userrechten. Defacto ist UAC auch kein Sicherheitsfeature sondern ein Conveniencefeature. Die neuen Integrity Level sind ein Sicherheitsfeature. UAC dagegen ist nur dazu da dem User eine einfache Möglichkeit zu geben, beliebige Anwendungen komfortabel mit Admin Rechten auszuführen, ähnlich wie bei Linux oder MacOS. Dadurch muss er nicht reloggen oder mit umständlichen Dialogen rumexperimentieren. Windows erkennt einfach: "Oh, die Anwendung braucht erweiterte Rechte, damit sie richtig funktioniert. Da fragen wir den User mal.".

[Voyager]

Egal wie man das jetzt nennt , manche User sehen das weniger als "Möglichkeit" wenn sie es doch nicht verstehen was wann ein administrativer Akt auf dem PC ist . Sicher ist UAC ein Hilfsfeature , es bietet eben einen gewissen Schutz davor das nichts mehr heimlich installiert werden kann wie früher. Das einzige was man bemängeln könnte wäre die geringe Aussagekraft des administrativen Vorganges.
Ausserdem kann man das sehr mißverstehen wenn jemand sagt "Defacto ist UAC auch kein Sicherheitsfeature" . Du weisst doch , Einfache Leute haben nur einen einfachen Gedankengang und denken meistens nicht weiter.

Der Beitrag wurde von bond7 bearbeitet: 27.11.2007, 11:33

[Andreas Haak]

Sicher ist UAC ein Hilfsfeature , es bietet eben einen gewissen Schutz davor das nichts mehr heimlich installiert werden kann wie früher. Das einzige was man bemängeln könnte wäre die geringe Aussagekraft des administrativen Vorganges.

Falsch. Du kannst sehr wohl heimlich installieren . Nur nicht ins Programm Verzeichnis. Defacto wird das auch genau das sein, wohin sich die Malware Szene entwickelt:

Je mehr Vista Verbreitung findet um so unwahrscheinlich wird es für Malware, daß sie mit Administrationsrechten läuft. Statt sich nach C:\Programme zu kopieren, wird sich dann halt nach C:\Users\<Username>\AppData kopiert. Statt die Autostart Keys in HKEY_LOCAL_MACHINE zu nutzen, nutzt man halt die in HKEY_CURRENT_USER. Statt Kernel Mode Rootkits zu nutzen, benutzt man User Mode Rootkits (die allerdings trivialst zu erkennen sind). Das geht alles mit Standard Usern ohne auch nur eine Meldung zu bekommen oder "Funktionalität" einzubüßen und genau genommen, hat Malware dadurch nicht mal einen Nachteil. Denn 90% der Vista PCs sind keine Multi-User-Systeme, sondern es gibt nur einen User und der kann dann sehr wohl auf all die hübschen Daten zugreifen, auf die es ein Password Stealer, Keylogger oder was auch immer abgesehen hat: Userdaten.

Ausserdem kann man das sehr mißverstehen wenn jemand sagt "Defacto ist UAC auch kein Sicherheitsfeature".

Es ist defacto auch kein Sicherheitsfeature. Die Sicherheit, die UAC bietet ist defacto genau das, was Dir ein Eingeschränkter User schon immer geboten hat. Es bietet Dir nur einen komfortablen Weg die Rechte für einen Prozess temporär zu erweitern - eben Convenience.

Der Beitrag wurde von Andreas Haak bearbeitet: 27.11.2007, 12:10

[Voyager]

Klar werden sich die Virenschreiber irgendwie anpassen , man will schliesslich auch mit Vista weiter auf kriminelle Art und Weise Geld und informative Werte abgreifen . An der Stelle sehe ich aber schon Heikes Einwand , wenn Benutzeraccounts so unsicher sind kann man auch gleich wieder als Admin rummachen und den Hackern am besten gleich das gesamte Geld so in den Rachen werfen

[Gast_J4U_*]

Die Aussage ist relativ dumm und eigentlich ziemlich plakativ.

Sorry, aber Du widersprichst Dir selbst. Meine Aussage stellst Du als dumm hin und im nächsten Satz bestätigst Du sie wiederum und erweiterst auf Linux.
Einigen wir uns auf "die angepriesene Sicherheit von Betriebssystemen..."?

[Andreas Haak]

An der Stelle sehe ich aber schon Heikes Einwand , wenn Benutzeraccounts so unsicher sind kann man auch gleich wieder als Admin rummachen und den Hackern am besten gleich das gesamte Geld so in den Rachen werfen

Nein nein, Benutzeraccounts sind nicht unsicher. Sie sind nur zur Malware Prevention gänzlich ungeeignet bzw. es ist nicht ihr Zweck Malwareinfektionen zu verhindern. Ihr Zweck ist es Rechtemanagement durchzuführen und Benutzer in kleine Sandkästen zu sperren und das klappt ja auch . Nur sind diese Sandkästen halt mehr oder minder egal, denn heutige Malware mag halt nicht mehr kaputt machen, sondern sammeln bzw. den Rechner "zombifizieren" .

Ich würde übrigens bitten nicht von Hackern zu sprechen in dem Zusammenhang.

Sorry, aber Du widersprichst Dir selbst. Meine Aussage stellst Du als dumm hin und im nächsten Satz bestätigst Du sie wiederum und erweiterst auf Linux.

Exakt und die Aussage, daß dies ein Windows-spezifisches Problem sei, ist dumm und plakativ. Ich erkenn da keinen wirklichen Widerspruch.

Einigen wir uns auf "die angepriesene Sicherheit von Betriebssystemen..."?

So rum wird ein Schuh draus .

Der Beitrag wurde von Andreas Haak bearbeitet: 27.11.2007, 12:59